auditdでマウント操作を監査する

マウント操作をauditdで監査するルール設定について確認しました。

下記資料を参考にしました。
NSA(National Security Agency)の『Guide to the Secure Configuration of Red Hat Enterprise Linux 5』

設定例


 
上記サイトに設定例がありました。
/etc/audit/audit.rulesに下記設定を追加します。
 
(設定例)
-a always,exit -F arch=ARCH -S mount -F auid>=500 -F auid!=4294967295 -k export
 

オプションの説明


 
・-a
 ルールを追加
 
・-k key
 ログなどに記録されるレコードを後で識別できるように付加する文字列。管理者がログをある特定の監査記録を検索したり削除する際に使用できる。
 
・-F auid
 ログインIDを監視
 
・-F arch
 syscallのCPUアーキテクチャを指定。CPUアーキテクチャは’uname -m’で確認できます。”arch=b32″や”arch=b64″と指定します。

関連記事の目次

コメントを残す

メールアドレスが公開されることはありません。 * が付いている欄は必須項目です